Por *Jan Bee, CISO da TeamViewer.
A maioria das violações modernas começa com credenciais roubadas e, em muitos casos, o caminho de entrada é surpreendentemente simples.
Imagine o seguinte cenário: um funcionário recebe uma mensagem convincente com um link para o que parece ser uma página de login legítima. A identidade visual está correta, o processo soa familiar e o trabalhador digita seu nome de usuário e senha. Uma notificação push de Autenticação Multifator (MFA, sigla em inglês para Multi-Factor Authentication) aparece e é aprovada, muitas vezes em um momento de distração. Nos bastidores, um token de sessão é interceptado e reutilizado, permitindo que o hacker obtenha acesso sem explorar uma única vulnerabilidade de software — ou seja, o ataque é concluído com sucesso.
Atualmente, kits de phishing prontos para uso permitem que os cibercriminosos lancem campanhas convincentes de forma rápida e repetida, enquanto a Inteligência Artificial (IA) ajuda a refinar a linguagem e imitar o tom com o mínimo de esforço. Técnicas para contornar a MFA são compartilhadas abertamente e reempacotadas. Apesar da sofisticação crescente desses ataques, as senhas continuam sendo a principal linha de defesa para o acesso a sistemas críticos em muitas organizações.
A distância entre os métodos de ataque modernos e os controles de autenticação legados não para de crescer.
Construídas para uma Era Diferente
As senhas foram criadas para um ambiente muito diferente, no qual os usuários trabalhavam dentro de redes definidas e em dispositivos gerenciados – normalmente dentro dos limites do escritório.
Hoje, o trabalho remoto e distribuído trouxe flexibilidade e eficiência às equipes, mas também exige que os controles de autenticação evoluam para proteger esse ambiente dinâmico. As organizações vêm respondendo a essa nova realidade reforçando as regras de senha, encurtando os ciclos de redefinição e adicionando camadas de MFA e políticas de acesso condicional. São medidas que geram sinais úteis e introduzem atrito, mas a fragilidade subjacente permanece: se uma senha é capturada, ela ainda tem valor.
Na prática, senhas podem ser facilmente capturadas, o que reforça a necessidade de métodos de autenticação mais avançados.
Na pesquisa Digital Friction 2025 da TeamViewer, 80% dos funcionários relataram problemas de autenticação no ano passado, incluindo questões com senhas e bloqueios de conta. Esse é exatamente o tipo de atrito digital que leva a soluções alternativas arriscadas e fragiliza os controles.
A Ilusão de Controle
A política de senhas há muito tempo é vista como uma salvaguarda básica. Mas, na realidade, ela frequentemente cria trabalho extra sem reduzir o risco de forma significativa.
Redefinições frequentes e regras complexas de composição moldam o comportamento dos usuários de maneiras previsíveis. As pessoas anotam senhas, reutilizam pequenas variações em diferentes sistemas ou as armazenam em arquivos não protegidos. Páginas de phishing continuam coletando-as em larga escala, enquanto as centrais de atendimento lidam com um fluxo constante de bloqueios e solicitações de redefinição.
Além disso, digitar a senha correta apenas comprova que a sequência certa de caracteres foi inserida, o que não confirma se o dispositivo é confiável ou se a sessão está sendo roteada por infraestrutura maliciosa.
Em um ambiente de Software como Serviço (SaaS), com equipes distribuídas e amplo acesso de parceiros, esse modelo baseado apenas em senhas mostra suas limitações. Os logins acontecem constantemente, cada um carregando um contexto que precisa ser avaliado em tempo real. No entanto, as senhas oferecem pouca visibilidade sobre esse panorama de risco mais amplo.
Identidade como Plano de Controle
Os limites de rede já não definem a segurança corporativa. Agora é a identidade que carrega esse peso.
Cada conta de usuário é uma porta de entrada em potencial para a organização, e cada dispositivo usado para fazer login introduz um grau de incerteza. Quando o acesso é compartilhado entre parceiros ou plataformas externas, esse círculo de confiança se expande ainda mais. Não é por acaso que os criminosos cibernéticos concentram seus esforços na identidade. Em vez de tentar romper uma infraestrutura blindada, eles buscam maneiras de assumir o controle de sessões legítimas ou manipular fluxos de autenticação para obter acesso.
Plataformas de identidade centralizadas ajudam a racionalizar o acesso, mas, não raro, herdam fatores de autenticação legados. Um único caminho vulnerável pode comprometer um ambiente que, de outra forma, seria maduro, principalmente quando envolve contas de serviço, dispositivos não gerenciados ou exceções de aplicativos.
Para os líderes de segurança, essa mudança reformula a conversa. A estratégia de identidade agora sustenta a detecção, a resposta e a governança. Se a autenticação pode ser reproduzida ou intermediada por um proxy, a visibilidade sobre o risco sempre será incompleta.
A questão não é mais se as senhas são falhas, mas sim se elas são adequadas ao panorama atual de ameaças cibernéticas.
Eliminando a Informação Secreta Compartilhada
A autenticação resistente a phishing enfrenta o problema eliminando completamente o dado sigiloso reutilizável.
Passkeys e credenciais vinculadas a dispositivos não transmitem senhas pela rede. Em vez disso, dependem de chaves criptográficas armazenadas com segurança no dispositivo do usuário. Ao fazer login, o dispositivo atesta sua identidade sem enviar nada que possa ser copiado ou reutilizado, enquanto recursos biométricos, como reconhecimento de impressão digital ou facial, confirmam a presença do usuário autorizado.
Sem uma informação secreta compartilhada para interceptar — ou seja, sem uma senha que precise trafegar entre usuário e sistema, podendo ser capturada nesse trajeto —, ataques do tipo adversary-in-the-middle (expressão em inglês para “adversário no meio”, quando o invasor se posiciona entre as duas partes da comunicação para roubar dados em trânsito) perdem boa parte de sua eficácia. Da mesma forma, técnicas como credential stuffing (expressão em inglês para o uso em massa de credenciais vazadas em outras invasões) e password spraying (expressão em inglês para testes de senhas comuns em diversas contas) se tornam irrelevantes quando as senhas simplesmente deixam de existir.
A adoção exige planejamento cuidadoso, principalmente em ambientes nos quais sistemas legados ainda dependem de credenciais tradicionais. Ir além das senhas não é apenas uma mudança técnica, mas também comportamental. Os funcionários precisam entender claramente por que a autenticação está evoluindo e como os novos métodos afetarão sua rotina diária. Com transparência na comunicação e suporte prático, a resistência tende a dar lugar à familiaridade.
Com o tempo, a autenticação resistente a phishing cria uma abordagem mais consistente e resiliente para o acesso. Ela também fortalece as operações do dia a dia. Os usuários deixam de precisar memorizar sequências complexas ou gerenciar trocas constantes de senha, a recuperação de contas se torna mais simples, e as equipes de segurança podem concentrar sua atenção na confiança dos dispositivos e na gestão de seu ciclo de vida, em vez da aplicação de políticas de senha.
Uma Questão de Resiliência
As fragilidades de autenticação afetam mais do que o ponto de entrada, pois também influenciam a velocidade com que uma organização consegue retomar o controle depois que um incidente começa a se desenrolar.
Quando invasores obtêm acesso por meio de credenciais roubadas, muitas vezes é difícil determinar até onde eles avançaram ou quais sessões ainda podem ser consideradas confiáveis. A confiança nos sinais de identidade se erode. A contenção normalmente envolve redefinições massivas de senhas e revogações de sessão, gerando disrupção justamente no momento em que clareza e estabilidade são mais necessárias.
Fortalecer a autenticação antes que um incidente ocorra é, portanto, central para a resiliência. Diminuir a dependência de senhas e introduzir métodos resistentes a phishing, como passkeys ou credenciais baseadas em hardware vinculadas a dispositivos gerenciados, limita a utilidade de credenciais roubadas e reduz a incerteza durante a resposta.
Em vez de se basearem em algo que a pessoa sabe, essas abordagens dependem da segurança do próprio dispositivo, oferecendo uma base mais sólida e estável para a confiança.
As senhas permanecem amplamente utilizadas porque são familiares e fáceis de implementar. No entanto, em um cenário de ameaças centrado na captura de identidade, confiar apenas em segredos reutilizáveis aumenta a exposição desnecessária, principalmente à medida que o ecossistema de identidades e parceiros com acesso a sistemas críticos continua se expandindo.
Superar o uso de senhas representa uma reformulação de como a confiança é estabelecida em ambientes distribuídos.
À medida que a IA acelera a escala e a precisão dos ataques baseados em identidade, a autenticação precisa evoluir na mesma proporção. Aqueles que eliminarem o ‘segredo’ reutilizável estarão em melhor posição para reforçar a resiliência e atender às expectativas crescentes de reguladores, clientes e demais partes interessadas.